變更預設憑證核發機構

Google Distributed Cloud (GDC) 實體隔離方案提供公用金鑰基礎架構 (PKI) API，可取得網路憑證。本文說明如何將預設憑證核發者變更為其他核發者。如要進一步瞭解 PKI 憑證模式，請參閱「網頁 TLS 憑證設定」。

本文適用於平台管理員群組中，想要管理憑證核發者的對象。詳情請參閱「GDC 實體隔離方案說明文件的目標對象」。

事前準備

變更預設憑證核發機構前，您必須具備必要權限並準備環境。

要求 IAM 角色

如要建立、更新及刪除憑證核發者，請與 IAM 機構組織管理員聯絡，要求取得系統命名空間中的 PKI Infra 管理員 (infra-pki-admin) 角色。

準備環境

變更預設憑證核發機構

  1. 預設發卡機構標籤如下例所示。每個命名空間中，必須有一個 CertificateIssuer 包含以下標籤：

    pki.security.gdc.goog/is-default-issuer: 'true'

  2. 查看 pki-system 命名空間中目前的預設核發者：

    kubectl get certificateissuers -n pki-system -l pki.security.gdc.goog/is-default-issuer=true

    輸出看起來類似以下內容：

    NAME                    READY   REASON       ISDEFAULT
default-tls-ca-issuer   True    CAaaSReady   true

  3. 編輯現有的預設發行者，並更新發行者的預設發行者標籤：

    kubectl label --overwrite certificateissuers CURRENT_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer='false'

    將 CURRENT_DEFAULT_ISSUER 替換為目前預設憑證簽發者的名稱。

  4. 如要將新的 CertificateIssuer 設為預設發卡機構，請更新標籤：

    kubectl label --overwrite certificateissuers NEW_DEFAULT_ISSUER -n pki-system pki.security.gdc.goog/is-default-issuer=true

    將 NEW_DEFAULT_ISSUER 替換為新預設憑證核發單位的名稱。

手動觸發憑證重新核發

切換預設憑證核發者後，除非憑證即將到期，否則 Distributed Cloud 不會自動重新核發由先前預設憑證核發者簽署的憑證。如要立即使用新的預設核發者重新核發憑證，請參閱「手動重新核發 PKI 網路憑證」。